TL;DR
Art. 30, lid 5 stelt organisaties met minder dan 250 werknemers vrij — tenzij de verwerking een risico kan inhouden, OF niet incidenteel is, OF bijzondere categorieën dan wel strafrechtelijke gegevens omvat. De drie voorwaarden zijn alternatieven. De loonadministratie is niet incidenteel en bevat gezondheidsgegevens: er gelden er meteen twee.
De fout zit in het woordje «of»
Art. 30, lid 5 stelt organisaties met minder dan 250 werknemers vrij van de registerplicht, «tenzij het waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen, de verwerking niet incidenteel is, of de verwerking bijzondere categorieën van gegevens, als bedoeld in artikel 9, lid 1, of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10 betreft». Drie voorwaarden, verbonden door «of». De Groep artikel 29 heeft dat uitdrukkelijk verduidelijkt in haar standpunt van 19 april 2018: het zijn alternatieven, en één ervan volstaat om de vrijstelling te laten vervallen.
«Niet incidenteel» beslecht de discussie bijna altijd
Incidenteel is de verwerking die niet regelmatig plaatsvindt, geen deel uitmaakt van de gewone bedrijfsvoering en geen bestendig karakter heeft. De loonadministratie draait elke maand. Klantbeheer stopt nooit. Sollicitaties komen het hele jaar binnen. Geen daarvan is incidenteel, en de vrijstelling is al vervallen, ongeacht het aantal werknemers. Komen daar ziekmeldingen bij, dan geldt ook de uitzondering voor bijzondere categorieën uit art. 9, lid 1.
- De vrijstelling is nooit volledig: zij zou hooguit gelden voor de verwerkingen die aan geen van de drie voorwaarden voldoen. Voor alle andere blijft het register verplicht — een organisatie houdt dus ofwel een gedeeltelijk, ofwel een volledig register bij.
- Art. 30, lid 1 noemt de minimuminhoud: naam en contactgegevens, doeleinden, categorieën betrokkenen en gegevens, categorieën ontvangers, doorgiften naar derde landen met de waarborgen, wissingstermijnen en een algemene beschrijving van de maatregelen uit art. 32, lid 1.
- Ook de verwerker houdt een eigen register bij (art. 30, lid 2), met andere inhoud: daarin staan de verwerkingsverantwoordelijken voor wie hij optreedt, niet de doeleinden.
- Art. 30, lid 4: het register wordt op verzoek ter beschikking gesteld van de toezichthouder. In de praktijk is het het eerste document dat wordt opgevraagd.
Wat een sjabloon niet doet
Een sjabloon levert de kolommen, niet de inhoud. De twee velden waarop registers stelselmatig stranden laten zich niet overschrijven: de bewaartermijn, die per gegevenscategorie en rechtsstelsel verschilt, en de maatregelen uit art. 32, die moeten aansluiten op de techniek die daadwerkelijk in gebruik is. Een register waarin overal «wettelijke bewaartermijnen» staat beantwoordt de vraag niet, het ontwijkt haar.
Het praktische advies voor de adviseur: begin de discussie over de 250 niet eens. Zij kost een half uur en eindigt altijd hetzelfde. Nuttiger is de vraag welke verwerkingen er zijn en hoe lang de gegevens blijven — want daar ontbreekt het antwoord, en daar vraagt de toezichthouder precies naar.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
